思科SDS-WAN管理曝(pù)高危漏洞(dònɡ)
發布時(shí)間 2023-07-18近日,思科發布(bù)安全報告(ɡào)稱,已經解決了一(yī)個關鍵的(de)未經認證的RESTAPI訪問漏洞(dònɡ),漏洞編號CV-2023-20214(cvss得分(fēn)9.1)。該漏洞(dònɡ)會影響思(sī)科SDS-WAN管理軟件(jiàn),允許攻擊者發(fā)起遠程攻(ɡōnɡ)擊,并且(qiě)可以獲得(dé)設備的讀寫權限或(huò)限制寫入(rù)權限。
SD-WAN是近(jìn)幾年推出(chū)的新方案(àn),正在(zài)成為未來的發展趨勢之一。SD-WAN,即軟件(jiàn)定義廣域網絡,是將SDN技(jì)術應用到(dào)廣域網場景中所形(xínɡ)成的一種服務。這種服務用于連接廣闊地理(lǐ)范圍的企業網絡、數據中心、互聯網應用及云服(fú)務,旨(zhǐ)在幫助用(yònɡ)戶降低廣(ɡuǎnɡ)域網的開支和提高(ɡāo)網絡連接靈活性。
思科安全(quán)公告稱,該漏(lòu)洞是由于(yú)使用其他(tā)API特(tè)性時請求(qiú)驗證不足(zú)。攻擊者可以通(tōnɡ)過向受影(yǐnɡ)響的SD-WAN管理設備發送精心(xīn)制作的API請求(qiú)來利用這個漏洞,并從設備中獲(huò)取敏感信(xìn)息。
思科進一(yī)步強調,該漏洞(dònɡ)安全性缺(quē)陷只會影(yǐnɡ)響其他API,不會影響基于網絡的管理界(jiè)面或CLI。受影響的SD-WAN管(ɡuǎn)理版本如(rú)下:
v20.6.3.3 – fixed with the release v20.6.3.4
v20.6.4 – fixed with the release v20.6.4.2
v20.6.5 – fixed with the release v20.6.5.5
v20.9 – fixed with the release v20.9.3.2
v20.10 – fixed with the release v20.10.1.2
v20.11 – fixed with the release v20.11.1.2
從思科發(fā)布的安全(quán)報告可以(yǐ)得知,SD-WAN管理版本(běn)20.7和20.8也會遭(zāo)受影響,對于這些版(bǎn)本的更新(xīn),思考(kǎo)建議用戶遷移至固(ɡù)定版本。
思科建議企業網絡管理員通(tōnɡ)過以下方(fānɡ)式減少攻(ɡōnɡ)擊面:
使用訪問(wèn)控制列表(biǎo)(ACLS)限制(zhì)對SD-WAN管(ɡuǎn)理實例的(de)訪問;
使用API鍵訪問(wèn)API;
檢查日志(zhì),以檢測訪問其他API的嘗(chánɡ)試。